オンライン数学学習プラットフォームのMathspace（本社シドニー）は2026年9月5日、同社のシステムへの不正アクセスにより107万9,819人の個人情報が流出したと公表した。対象は生徒、その保護者、学校教職員、Mathspace社員で、影響はオーストラリアとニュージーランドの利用者に限られる。同社の最高技術責任者Alvin Savoy氏が公式ブログで経緯と対応を説明している。
脆弱な内部報告システム — 正規ログインなしに管理者権限を奪取
攻撃者はMathspaceが内部報告用途で自社設置していたMetabaseの脆弱性を悪用した。この脆弱性により、攻撃者は正規のログイン手続きを経ずに同システムの管理者権限を取得できた。Mathspaceの調査では、2026年8月10日（豪州東部標準時）にさかのぼる不正アクセスが確認され、8月27日に豪州の報告データベースから情報が取得された。流出の発生自体は9月3日に確定した。
時系列を見ると、更新の遅れが被害拡大につながった構図が浮かぶ。Metabase側は8月6日に重大なセキュリティ助言と修正版を公開していた。しかしMathspaceの既存の脆弱性通知手順はこの助言を検知・格上げできず、同社が自社環境を更新したのは8月29日だった。後の助言に気づいて更新したものの、その時点で影響の有無を確認する追加の侵害チェックを実施しなかったことも同社は認めている。Savoy氏は、最初の助言が格上げされなかった理由と、侵害チェックが遅れた理由を調査中であり、両方の手順を変更すると説明している。
影響範囲 — 107万9,819人、パスワードや学習記録は対象外
流出したのは内部Mathspaceの利用者ID、ユーザー名、氏名、メールアドレス、国、タイムゾーン、利用者種別、メール認証状態、最終利用日・最終ログイン日、登録日などだ。対象者全員にすべての項目が含まれていたわけではない。利用者IDは生徒アカウントにひもづく内部識別子を含む。
一方、流出しなかった項目も明確にされている。学業記録、学習活動、成績、評価記録、パスワード（ハッシュを含む）、認証トークン、シングルサインオンの認証情報、API認証情報は対象外だ。利用者アカウントと学校を直接結びつける記録も含まれていないが、学校名が分かるメールドメインからは推測が可能な場合があると同社は注意している。
同社は9月4日から学校の連絡担当者への侵害通知の送信を始めた。現時点で情報が公開・配布・販売・悪用された証拠はないとし、攻撃者の特定には至っていないとしている。
封じ込めと利用者への呼びかけ — なりすましへの警戒
9月3日の確定後、同社は侵害された報告システムMetabaseを停止し（現在も停止中）、すべてのMetabase APIキーを無効化した。豪州と米国のSnowflake環境におけるMetabaseのデータベース接続アカウントを無効化し、Metabase用クラウドSQLデータベースのパスワードも変更した。アプリケーションデータベースの複製とアクセスログの確保も行い、調査に充てている。
利用者向けに、同社はなりすましへの警戒を呼びかけている。氏名やメールアドレス、学校名を正確に使った偽の連絡が届く可能性があるため、不審な連絡は公式サイトで別途入手した連絡先から独立して確認し、パスワードや確認コードを返信しないこと、不用意な添付ファイルや見慣れないリンク経由のサインインを避けることを求めている。パスワードや認証情報は流出していないため、同社はMathspaceのパスワード再設定を求めていない。ただし他のサービスで同じパスワードを使い回している場合は変更し、身に覚えのない再設定メールや設定変更に注意するよう付け加えている。学校管理者は専用窓口（[email protected]）に問い合わせれば、自校の対象者数や記録の詳細を確認できる。
自社設置の分析基盤は利便性が高い反面、修正版の適用が遅れると管理者権限の奪取口になる。提供元の重大な助言を確実に拾い上げ、更新時には侵害の有無を確認する手順を定めておくことが、SaaS事業者の脆弱性管理では欠かせない。
この記事は、公開情報と編集部の調査・知見をもとに構成しています。内容は公開時点の情報に基づく解説であり、個別の環境への診断・対応を保証するものではありません。重要な判断では、記事内の出典や各提供元の最新情報もご確認ください。